Expertises des Systèmes d'information - Février 2022 - N°476 - Le mensuel du droit de l'informatique et du multimédia - 74

DOCTR INE
du 6 janvier 1978, dite «Informatique
et libertés». Enfin, D. Guinier (2022)
insiste sur les aspects connexes à
intégrer pour l'IA, notamment sur
la nécessité d'un cadre juridique et
réglementaire, et en premier lieu
sur le besoin de disposer d'une
approche globale de l'éthique basée
sur plusieurs axes : normatif, moral
et social, en gardant à l'esprit qu'une
présence humaine reste en mesure
d'affaiblir l'impact d'une défaillance
découlant
d'éventuelles
erreurs
résultant d'un dispositif reposant
sur l'IA.
Fondements d'un cadre
légal pour la régulation
de l'IA en santé
La charte des droits fondamentaux
(CDF) de l'UE11
, dotée d'une portée
juridique contraignante, fournit
des lignes directrices pertinentes
pour constituer un cadre juridique
contraignant pour l'IA en santé12
,
plutôt que d'établir de nouvelles
règles qui pourraient s'avérer trop
rigides et inadaptées pour anticiper
l'évolution constante des technologies
et des applications de l'IA.
En outre, le règlement général sur
la protection des données (RGPD)
est applicable aux données et à leur
traitement.
Ces éléments sont aptes à constituer
les fondements d'un cadre
légal immuable pour la régulation
de l'IA en santé, en Europe et en
France. Leurs exigences répondent
à la résolution du paradoxe vu
précédemment, lequel résulte de
l'opposition entre la stabilité d'un
droit et l'évolution rapide des technologies
et applications d'IA, et au
souhait d'une contrainte juridique
claire, sans avoir à recourir à la
voie du " Soft law " , envisagée par
certains, mais dépourvue d'obligation
formelle.
Exigences
d'un contrôle humain
L'évocation de l'art. 1 de la CDF sur
le respect de la dignité humaine qui
est inviolable et doit être respectée
et protégée, signifie que l'IA ne doit
pas considérer les humains comme
74
Exigences d'explication
éclairée et de transparence
L'évocation de l'art. 3 de la CDF sur
le consentement libre et éclairé de
la personne concernée selon les
modalités définies par la loi, impose
une prise de décision partagée
entre le soignant et son patient, où
le patient a le dernier mot. Il est donc
évident que l'IA ne peut être utilisée
qu'après une information préalable
et intelligible de ces principales
fonctions. De plus, la proposition
de règlement de la CE concernant
l'IA prévoit à l'art. 13 que son
fonctionnement est suffisamment
transparent pour permettre d'en
interpréter les résultats et son utilisation
de manière appropriée.
A son tour, l'art. 22 du RGPD précise
qu'une décision doit être fondée
sur le consentement explicite de la
personne concernée. Autrement
dit, l'IA en santé doit être explicable
et appropriée. Pour cela il faut ajouter
la nécessité de formation pour
l'ensemble des acteurs, et de création
d'un comité d'éthique au sein
des organismes pour s'assurer de
vigilance et de loyauté vis-à-vis des
parties-prenantes, et notamment
des utilisateurs et des patients.
Partant du fait que l'IA et les algorithmes
qu'elle
sous-tend
EXPERTISES
FÉVRIER 2022
sont
inséparables, au regard des aspects
de simples objets. Par ailleurs, la
proposition de règlement de la CE
concernant
qu'un contrôle humain13
l'IA prévoit à l'art. 14
est requis.
En conséquence, avant que toute
action soit prise sur la base d'une IA,
elle est subordonnée à une évaluation
humaine. Par ailleurs, le RGPD
n'autorise que de façon restreinte
les décisions qui découlent d'un
traitement automatisé et prévoit
des règles restrictives pour éviter
que l'Homme ne subisse des
décisions émanant uniquement
de machines. Ainsi, son art. 22
encadre les processus de prises de
décision entièrement automatisés
lorsqu'elles produisent des effets
significatifs. En d'autres termes, l'IA
en santé est contrainte à l'existence
d'un contrôle humain.
juridiques, la loi française du
7 octobre 2016 pour une République
numérique constituait une
étape
pour un droit à l'information sur
les algorithmes, pour contrer le
caractère de boîte noire et d'opacité
des systèmes et applications
d'IA14
. Cependant, des restrictions
apparaissent déjà sur la visibilité des
algorithmes d'IA au nom du droit de
propriété intellectuelle, en opposition
à l'exigence d'explicabilité, alors qu'il
y a encore peu d'algorithmes libres
disponibles pour l'IA en santé. Ces
difficultés naissantes devront être
ajoutées au débat pour aboutir à une
solution qui ne remette pas en cause
ces exigences.
Exigences de confidentialité
et de sécurité
L'évocation des arts. 7 et 8 de la CDF
impose que l'IA soit conçue, développée
et exploitée conformément
aux exigences de la vie privée et de
la protection des données à caractère
personnel, conformément avec
la loi française dite «Informatique et
libertés» et le RGPD dans son entier
dont l'art. 25 sur la protection des
données dès la conception et par
défaut mérite une attention particulière.
Il s'applique aux utilisateurs
et contrôleurs de l'IA, mais aussi les
développeurs dès la conception des
systèmes et applications d'IA, selon
le principe de «Privacy by Design»15
.
Il en est de même de la section 2 sur
la sécurité des données à caractère
personnel, et en particulier de
l'art. 32 sur la mise en œuvre des
mesures techniques et organisationnelles
appropriées afin de
garantir un niveau de sécurité
adapté au risque selon les besoins.
Ce qui signifie que l'IA en santé doit
être en mesure de garantir sa propre
sécurité.
En outre, l'Assemblée parlementaire
du Conseil de l'Europe16
considère que les exigences de
cybersécurité des dispositifs d'IA
en santé devraient être explorées
en amont en s'appuyant sur la
Convention du Conseil de l'Europe
sur la cybercriminalité du
23 octobre 2002 (STCE n°185),
Expertises des Systèmes d'information - Février 2022 - N°476 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Février 2022 - N°476 - Le mensuel du droit de l'informatique et du multimédia
